जब एजेंट का शरीर अपहृत होता है — एक एक्सटेंशन पाँच उत्पादों में एआई सहायकों को चलाता है
Forever Security ने दिखाया कि एक साधारण ब्राउज़र एक्सटेंशन पाँच उत्पादों के अंतर्निहित एआई को चला सकता है — Chrome, Comet, Edge, Opera Neon, और Claude। अलग से, Mandiant ने रिपोर्ट किया कि एक हमलावर ने एआई कोडिंग-सहायक सत्र अपहृत किया और लगभग 100 रिपॉज़िटरी में Shai-Hulud वर्म फैलाया। हम एजेंटिक रनटाइम की विश्वास सीमाओं का मानचित्र बनाते हैं।
यह लेख मशीन से अनुवादित किया गया था।
सितंबर 2026 में Forever Security के शोधकर्ता Gal Weizman ने प्रदर्शित किया कि केवल 2 सामान्य अनुमतियों वाला एक ब्राउज़र एक्सटेंशन — पृष्ठ संशोधन और declarativeNetRequest — पाँच उत्पादों के अंतर्निहित एआई सहायकों को नियंत्रित कर सकता है: Chrome में Gemini Live, Perplexity Comet, Microsoft Edge, Opera Neon, और Chrome एक्सटेंशन में Claude। आर्किटेक्चर उत्पादों में एक जैसा है: एआई का ब्राउज़र के अंदर एक "शरीर" है जो स्क्रीन देख सकता है, फ़ाइलें खोल सकता है और कैमरा उपयोग कर सकता है, और विक्रेता के सर्वरों पर एक "मस्तिष्क", और शरीर केवल एक विश्वसनीय पृष्ठ से आदेश लेता है (उदाहरण gemini.google.com)। एक्सटेंशन उस विश्वसनीय पृष्ठ में अपना कोड डालता है और शरीर से ऐसे बोलता है मानो वह विक्रेता हो। Chrome का मामला, जिसे GlicJack कहा जाता है, CVE-2026-0628 है (CVSS 8.8, Chrome 143 में ठीक); केवल Edge के निष्कर्ष को भी CVE मिला, CVE-2026-55945 (CVSS 4.2, ठीक)। Comet, Opera Neon और Claude के कोई CVE नहीं हैं। Comet सबसे खराब मामला था — एक बार अपहृत होने पर उसका एजेंट कोई भी फ़ाइल पढ़ सकता था, ब्राउज़िंग इतिहास सूचीबद्ध कर सकता था, स्क्रीनशॉट ले सकता था और उपयोगकर्ता के रूप में कार्य कर सकता था। सभी निष्कर्ष शोधकर्ता प्रदर्शन हैं, जंगल में हमले नहीं, और प्रत्येक यह मानता है कि एक्सटेंशन पहले से स्थापित है (The Hacker News की रिपोर्ट के अनुसार)।
एक अलग सूत्र में, Mandiant की सितंबर 2026 रिपोर्ट एक अनाम SaaS प्रदाता पर सक्रिय एआई कोडिंग-सहायक सत्र के अपहरण का वर्णन करती है। अपहरण के बाद, सहायक की एक सिफ़ारिश — उस सॉफ़्टवेयर के लिए जिसे हमलावर ने विषैला किया था — मानव ने स्वीकार कर ली, और हमलावर ने डेवलपर के सत्र का उपयोग कर कंपनी के आधिकारिक नेमस्पेस के अंदर एक विषैले PyPI पैकेज के माध्यम से इन्फोस्टीलर स्थापित किया। GitHub OAuth टोकन चुराए गए, और स्वयं-फैलने वाला Shai-Hulud वर्म लगभग 100 आंतरिक रिपॉज़िटरी में तैनात किया गया; एक दूसरे कर्मचारी द्वारा समझौता संस्करण खींचने से दूसरा संक्रमण हुआ। Mandiant ने पहले रिपोर्ट किया था कि हमलावर 2025 के दौरान जनरेटिव एआई को काम तेज़ करने से आगे बढ़कर मैलवेयर और जीवित हमलों में LLM एम्बेड करने लगे (The Hacker News और Mandiant की रिपोर्ट के अनुसार)।
विश्लेषण (तथ्यों से पृथक): दोनों कहानियों में साझा यह है कि एजेंटिक आर्किटेक्चर की विश्वास सीमा मानव अनुमोदन पर नहीं, एक "पृष्ठ" और एक "सिफ़ारिश" पर बैठती है। ब्राउज़र-उपयोग एजेंट एक ही विश्वसनीय डोमेन से आदेश स्वीकार करते हैं — परंतु एक एक्सटेंशन उस पृष्ठ की सामग्री पुनर्लेखित कर सकता है, जिससे एक्सटेंशन विश्वास सीमा में एक आपूर्ति-शृंखला पथ बन जाते हैं। कोडिंग-एजेंट की ओर, एआई सिफ़ारिश का मानव "अनुमोदन" स्वयं निष्पादन विशेषाधिकार का अनुदान है: यदि सिफ़ारिशकर्ता का इनपुट (पैकेज रजिस्ट्री) विषैला है, तो अनुमोदन ट्रिगर बन जाता है। मानव-इन-द-लूप को आमतौर पर सुरक्षा उपाय कहा जाता है, फिर भी दोनों मामलों में लूप में मानव ने सिफ़ारिश का सत्यापन नहीं किया — वह औपचारिकता थी।
रक्षात्मक निहितार्थ: (1) जिन एंडपॉइंट पर एआई सहायक सक्षम हैं, वहाँ एक्सटेंशन अनुमतियों की इन्वेंटरी एजेंट क्षमताओं के साथ करें — यदि एक एक्सटेंशन एजेंट के "शरीर" के माध्यम से फ़ाइल पठन और कैमरा पहुँच तक पहुँच सकता है, तो उसे अनुमति देना वास्तविक विशेषाधिकार अनुदान है। (2) किसी भी एआई-अनुशंसित पैकेज या उपकरण को, मानव-अनुमोदित होने पर भी, एक नए खुले आपूर्ति-शृंखला पथ के रूप में लें जिसे सत्यापन चाहिए। (3) विश्वसनीय-डोमेन की ओर, बचे हुए कमांड चैनलों की इन्वेंटरी करें जैसे परीक्षण उपडोमेन (एक बचा परीक्षण पता Comet के लिए सफलता का बिंदु था)। (4) उन फ़ाइलों को न्यूनतम करें जिन्हें एजेंट पढ़ सकता है और उन टोकन (उदाहरण OAuth) को जिन्हें वह रखता है। यह हमारा विश्लेषण है, विक्रेता मार्गदर्शन नहीं।
इस लेख के तथ्य मुख्य रूप से Forever Security के BragJack लेख (https://forever.security/blog/bragjack-hijacking-5-browsers-via-built-in-ai-assistants/) और Mandiant / Google Cloud की AI Risk and Resilience Report 2026 (https://cloud.google.com/security/resources/ai-risk-and-resilience-2026) से लिए गए हैं, द्वितीयक रूप से The Hacker News की रिपोर्ट के साथ (https://thehackernews.com/2026/09/one-extension-could-hijack-ai.html और https://thehackernews.com/2026/09/attacker-hijacks-ai-coding-assistant.html); विश्लेषण खंडों को तथ्यात्मक रिपोर्टिंग से अलग रखा गया है। ध्यान दें कि जिन उत्पादों के CVE नहीं हैं, उनके विक्रेता उपचार की स्थिति सार्वजनिक सूचना से पूरी तरह पुष्टि नहीं हो सकी।